Trener, coach czy lektor pracujący online codziennie przetwarza dane osobowe, choć rzadko o tym myśli w tych kategoriach.
Każdy trener, coach czy lektor pracujący online przetwarza dane osobowe znacznie częściej, niż mu się wydaje. Imię, nazwisko i adres e-mail uczestnika to dopiero początek. Dochodzi numer telefonu, dane do faktury, historia sesji, notatki z rozmów, a czasem nawet informacje o stanie zdrowia, jeśli prowadzisz coaching życiowy albo terapię.
To ostatnie jest szczególnie wrażliwe. Dane dotyczące zdrowia psychicznego czy fizycznego klienta należą do kategorii danych szczególnie chronionych i wymagają dodatkowej ostrożności przy przechowywaniu i przetwarzaniu. Jeśli w notatkach z sesji pojawia się informacja o depresji, chorobie przewlekłej albo uzależnieniu, traktuj taki plik jak coś, co powinno być zaszyfrowane albo trzymane w miejscu z ograniczonym dostępem.
Warto też pamiętać o danych, które gromadzisz mimowolnie: nagrania z kamery, zrzuty ekranu z czatu, listy uczestników webinaru, adresy IP logujących się osób. Wszystko to podlega RODO, nawet jeśli nigdy świadomie nie pomyślałeś o tym jako o danych osobowych.
Praktyczna wskazówka: zrób sobie listę wszystkich miejsc, gdzie trafiają dane Twoich klientów. Kalendarz, CRM, komunikator, dysk w chmurze, arkusz Excel z fakturami. Dopiero mając taką mapę, jesteś w stanie ocenić, gdzie leży ryzyko. Wielu trenerów odkrywa przy tej okazji, że dane leżą rozproszone w pięciu różnych miejscach, z czego trzy nie mają żadnego zabezpieczenia hasłem.
Jeśli pracujesz z grupą, sytuacja się komplikuje, bo musisz zadbać o dane wielu osób naraz, często o różnym poziomie świadomości technologicznej. Uczestnik korporacyjnego szkolenia może się zdziwić, że jego adres e-mail trafia do Twojego systemu mailingowego, jeśli nie poinformujesz go o tym wcześniej.
Krótka odpowiedź brzmi: tak, i to nie jedna zgoda, tylko potencjalnie dwie osobne.
Organizator, który nagrywa szkolenie i planuje udostępniać je później, na przykład jako materiał dla osób nieobecnych, musi poinformować wszystkich uczestników i odebrać od nich zgody, bo nagranie nie może być udostępniane bez ich wiedzy. To nie jest formalność do odhaczenia, tylko realny obowiązek, który w razie kontroli albo skargi będziesz musiał udokumentować.
Tu pojawia się pułapka, w którą wpada wielu trenerów: zgoda na samo nagranie sesji nie jest równoznaczna ze zgodą na jego dalsze rozpowszechnianie. To dwie odrębne kwestie i traktowanie ich jako jednej zgody to częsty błąd. Jeśli chcesz nagrać sesję na własny użytek, żeby np. przygotować lepsze materiały na kolejne spotkanie, potrzebujesz jednej zgody. Jeśli planujesz udostępnić nagranie innym uczestnikom albo wrzucić fragment na stronę jako materiał promocyjny, potrzebujesz zgody odrębnej i wyraźnie sformułowanej.
Co w praktyce warto zrobić:
Dobrą praktyką, która realnie ogranicza ryzyko, jest udostępnianie nagrania wyłącznie z wystąpieniem prowadzącego, bez widocznego czatu i wizerunków uczestników. Jeśli prowadzisz webinar dla większej grupy, warto ustawić nagrywanie tak, by rejestrowało tylko Twój ekran i Twój głos, a nie twarze i wypowiedzi osób z drugiej strony. To rozwiązuje problem u źródła, zamiast zbierać dziesiątki osobnych zgód.
Jeśli dopiero szykujesz się do pierwszego kontaktu z klientem online, warto przemyśleć te kwestie zanim jeszcze usiądziesz przed kamerą. Dobrym punktem wyjścia jest tekst o tym, jak przygotować się do pierwszej sesji coachingowej online, gdzie RODO to tylko jeden z elementów układanki.
Tu nie ma jednej magicznej liczby, choć wielu trenerów by chciało, żeby taka istniała.
RODO nie wskazuje jednego uniwersalnego okresu przechowywania danych. Czas retencji zależy od celu przetwarzania, rodzaju dokumentacji i przepisów szczególnych, takich jak Kodeks pracy czy ustawa o rachunkowości. Faktury musisz trzymać tyle, ile wymaga prawo podatkowe, niezależnie od tego, co myślisz o RODO. Dane kontaktowe do celów marketingowych to zupełnie inna sprawa, bo tu decyduje głównie zgoda i jej wycofanie.
A co z dokumentacją samego szkolenia? Programy zajęć, dzienniki, rejestry uczestników, notatki z przebiegu sesji? Tu nie ma ustawowo określonego terminu, ale dobrą praktyką jest przechowywanie takiej dokumentacji co najmniej do czasu następnego szkolenia plus dwa, trzy lata. Dzięki temu masz zabezpieczenie na wypadek reklamacji, sporu albo pytania od klienta "a czy mogę dostać potwierdzenie udziału sprzed dwóch lat".
Praktyczna checklista do wdrożenia:
Jeśli prowadzisz sesje sezonowo, na przykład intensywniej latem, warto przy okazji zaplanowania grafiku pomyśleć też o porządkach w danych. Dobrym momentem na taki przegląd jest okres wakacyjny, kiedy tak czy inaczej organizujesz sesje online w innym rytmie niż zwykle i masz więcej przestrzeni na uporządkowanie zaplecza administracyjnego.
Wybór narzędzia to jeden z tych momentów, gdzie decyzje techniczne mieszają się z prawnymi w sposób, którego wielu trenerów nie przewiduje na starcie.
Pierwsza sprawa to lokalizacja serwerów i dostawcy. Transfer danych osobowych poza Europejski Obszar Gospodarczy, na przykład do dostawców narzędzi z siedzibą w USA, wymaga zastosowania jednego z mechanizmów przewidzianych w RODO: decyzji adekwatności, standardowych klauzul umownych albo wyjątków przewidzianych w przepisach. To brzmi jak żargon prawniczy, ale w praktyce oznacza jedno: zanim podpiszesz się pod jakimś narzędziem do wideokonferencji czy tablicy online, sprawdź w jego polityce prywatności, gdzie fizycznie trzymane są dane i na jakiej podstawie prawnej odbywa się ich transfer.
Amerykański dostawca może być podstawą legalnego transferu danych tylko wtedy, gdy jest certyfikowany w ramach programu EU-US Data Privacy Framework i figuruje na jego publicznej liście. Jeśli tego nie sprawdzisz, ryzykujesz, że korzystasz z narzędzia, które formalnie nie ma podstawy prawnej do przetwarzania danych Twoich klientów poza Unią.
Druga sprawa to funkcje samego narzędzia. Dobre narzędzie do pracy online powinno dawać Ci kontrolę nad tym, kto dołącza do sesji, jak długo dane są przechowywane i czy w ogóle musisz zbierać konta uczestników. Im mniej danych zbiera samo narzędzie, tym mniejsze ryzyko po Twojej stronie. Jeśli uczestnik może dołączyć przez link albo kod PIN bez zakładania konta, to od razu jedna zmienna mniej do pilnowania.
Warto też zwrócić uwagę na to, czy dostawca oferuje polską wersję regulaminu i czy jasno deklaruje zgodność z RODO, a nie tylko z ogólnym prawem amerykańskim o prywatności. Polskie narzędzia mają tu pewną przewagę, bo z definicji operują w unijnym reżimie prawnym.
Temat wyboru narzędzia jest na tyle szeroki, że warto poświęcić mu osobną lekturę, jeśli stoisz przed decyzją o zmianie platformy do prowadzenia zajęć.
To element, o którym wielu trenerów zapomina, dopóki nie dostanie pytania od klienta albo, gorzej, skargi.
Jeśli szkolenie lub zapis na nie odbywa się online, organizator musi opracować i udostępnić regulamin świadczenia usług drogą elektroniczną, zgodnie z ustawą o świadczeniu usług drogą elektroniczną. To nie jest fanaberia prawnicza, tylko konkretny obowiązek, który dotyczy właściwie każdego, kto sprzedaje sesje, kursy czy konsultacje przez internet.
Dobry regulamin powinien odpowiadać na kilka podstawowych pytań: kim jest organizator (dane firmy albo osoby prowadzącej działalność), jak wygląda proces zapisu i płatności, jakie są zasady odwołania albo przełożenia sesji, jak wygląda procedura reklamacyjna i, co najważniejsze z punktu widzenia RODO, jakie dane są zbierane i w jakim celu.
Częsty błąd to kopiowanie regulaminu z internetu bez dostosowania go do własnej działalności. Regulamin sklepu z odzieżą i regulamin sesji coachingowych to zupełnie inne dokumenty, mimo że oba dotyczą usług drogą elektroniczną. Jeśli prowadzisz korepetycje online, Twój regulamin powinien uwzględniać specyfikę pracy z nieletnimi, jeśli uczysz dzieci, oraz kwestię zgody rodzica na przetwarzanie danych dziecka.
Warto też pamiętać, że regulamin i polityka prywatności to dwa osobne dokumenty, choć często się je łączy w jeden plik PDF. Polityka prywatności skupia się na RODO: jakie dane, jak długo, komu przekazywane. Regulamin dotyczy zasad świadczenia usługi jako takiej. Klient powinien mieć łatwy dostęp do obu, najlepiej jeszcze przed zapisem na sesję, a nie dopiero po dokonaniu płatności.
Nikt nie lubi o tym myśleć, ale prędzej czy później może zdarzyć się sytuacja, w której dane Twoich klientów wyciekną, zostaną wysłane pod zły adres albo trafią do niewłaściwej osoby.
Skala problemu w Polsce rośnie z roku na rok. Tylko w 2025 roku do Urzędu Ochrony Danych Osobowych wpłynęło blisko 13 tysięcy skarg, w porównaniu do 8 tysięcy rok wcześniej, oraz ponad 22 tysiące zgłoszeń naruszeń ochrony danych osobowych. To pokazuje, że urząd nie jest instytucją teoretyczną, tylko realnie reaguje na zgłoszenia od zwykłych ludzi, także tych, którzy zapisali się na Twoje szkolenie.
Co zrobić, jeśli podejrzewasz, że doszło do naruszenia? Po pierwsze, nie panikuj i nie próbuj po cichu naprawić sytuacji bez dokumentowania jej. Zapisz, co się stało, kiedy to zauważyłeś i jakie dane mogły zostać ujawnione. Po drugie, oceń ryzyko dla osób, których dane dotyczą. Jeśli wyciekł tylko adres e-mail do newslettera, to co innego niż wyciek numerów PESEL czy danych zdrowotnych z sesji coachingowej.
Jeśli ryzyko dla praw i wolności osób jest realne, masz obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin od jego stwierdzenia. Jeśli ryzyko jest wysokie, musisz też poinformować bezpośrednio osoby, których dane dotyczą.
Brzmi groźnie, ale w praktyce większość naruszeń u trenerów indywidualnych to drobne pomyłki: mail wysłany do złej grupy odbiorców, plik z danymi udostępniony bez hasła, zgubiony laptop bez szyfrowania dysku. Dlatego tak ważne jest, żeby mieć chociaż podstawowe zabezpieczenia: szyfrowanie dysku, dwuskładnikowe logowanie do kont, regularne kopie zapasowe w bezpiecznym miejscu.
Tu wielu trenerów myśli "mnie to nie dotyczy, jestem za mały, żeby ktoś się mną zainteresował". To błędne założenie, choć akurat skala kar, o których zaraz napiszę, dotyczy głównie dużych organizacji.
W 2025 roku Prezes UODO nałożył łącznie 32 kary o łącznej wartości 64,5 miliona złotych, co oznacza pięciokrotny wzrost wartości kar w porównaniu z rokiem poprzednim. Najwyższą jednostkową karą w historii RODO w Polsce jest 27,1 miliona złotych nałożone na Pocztę Polską za bezprawne przetwarzanie danych PESEL około 30 milionów obywateli w związku z tzw. wyborami kopertowymi. W sierpniu 2025 roku na ING Bank Śląski nałożono z kolei karę ponad 18,4 miliona złotych za masowe i nieuzasadnione skanowanie dowodów tożsamości klientów, co naruszało zasadę minimalizacji danych.
Te liczby robią wrażenie, ale nie oznaczają, że mały trener online nie ma się czym martwić. Kary dla osób prowadzących jednoosobową działalność są zwykle znacznie niższe, adekwatne do skali naruszenia i możliwości finansowych. Problem w tym, że nawet mała kara, powiedzmy kilka tysięcy złotych, potrafi zachwiać budżetem osoby, która prowadzi kilka sesji tygodniowo. Do tego dochodzi utrata reputacji, bo klient, którego dane wyciekły, raczej nie poleci Cię znajomym.
Warto potraktować rosnącą liczbę kar jako sygnał, że urząd coraz uważniej patrzy na cały rynek, nie tylko na wielkie korporacje. Skargi od pojedynczych osób, w tym uczestników szkoleń online, są jednym z głównych źródeł, które uruchamiają kontrole.
Tak, jeśli zbierasz dane do zapisu (imię, e-mail) i planujesz je wykorzystać poza samym wydarzeniem, na przykład do wysyłki materiałów czy oferty. Zgoda powinna być wyraźna, dobrowolna i łatwa do wycofania.
Nie. Nagranie sesji wymaga wyraźnej zgody uczestnika, a jeśli planujesz je udostępniać innym osobom, potrzebujesz osobnej zgody na rozpowszechnianie. To dwie różne kwestie prawne, mimo że wielu trenerów traktuje je jako jedno.
Zależy to od typu danych. Dokumenty księgowe podlegają przepisom podatkowym, a dokumentacja szkoleniowa bez ustawowego terminu najlepiej powinna być przechowywana do czasu kolejnego szkolenia plus dwa, trzy lata, chyba że klient wcześniej poprosi o usunięcie danych.
Może być, ale tylko pod warunkiem że dostawca stosuje odpowiedni mechanizm transferu danych, na przykład certyfikację w ramach programu EU-US Data Privacy Framework, albo standardowe klauzule umowne. Zawsze warto to sprawdzić w polityce prywatności narzędzia przed podpisaniem umowy.
Udokumentuj sytuację, oceń ryzyko dla osób, których dane dotyczą, i jeśli ryzyko jest realne, zgłoś naruszenie do UODO w ciągu 72 godzin od jego wykrycia. Przy wysokim ryzyku poinformuj też bezpośrednio osoby dotknięte naruszeniem.
Więcej materiałów z tej samej kategorii.
Retencja danych to nie urzędniczy termin z ulotki RODO, tylko konkretna decyzja, która wpływa na bezpieczeństwo klientów każdego trenera, co...
Nagrywanie sesji coachingowej, lekcji online czy warsztatu grupowego brzmi jak prosta formalność, dopóki nie okaże się, że złamałeś zasady R...
Terapia online to dziś dla wielu terapeutów codzienność, a nie dodatek do pracy gabinetowej, jednak brak fizycznych ścian gabinetu oznacza z...
Załóż konto, przygotuj swoją tablicę i rozpocznij pierwszą sesję bez instalacji po stronie uczestnika.
Wypróbuj ClickBoard za darmo